نحن نتعامل مع بيئة تهديدات تشهد تغيراً مستمراً. فمن جهة، يقوم الجهات المهدِّدة والناشطون الإلكترونيون بالإعلان صراحةً عن الشركات التي يستهدفونها، ومن جهة أخرى، تتعامل فرق الأمن في المؤسسات مع عوامل تشتيت داخلية وخارجية. إضافةً إلى ذلك، تستهدف برمجيات الفدية كخدمة (RaaS) الآن البروتوكولات الصناعية المملوكة، وقد حوّلت التوترات الجيوسياسية شبكات الكهرباء ومحطات معالجة المياه إلى ساحات تشغيل رئيسية.

للدفاع عن البنية التحتية الحيوية، لا يمكننا الاعتماد على أساليب تقنية المعلومات المتمحورة حول "الترقيع والدعاء". يجب أن نستند إلى معيار IEC 62443 لاشتقاق الضوابط الصحيحة والتدخلات القائمة على الأطر لضمان بقاء البنية التحتية محمية دائماً.   

تحديد المحيط: نموذج المناطق والقنوات (IEC 62443-3-2)

أكثر حالات الإخفاق شيوعاً في بيئات OT الحديثة هي الشبكة "المسطحة" بالكامل. إذا تمكّن مهاجم من الوصول إلى شبكة Wi-Fi الخاصة بالضيوف في المكتب المؤسسي ثم التحرك أفقياً إلى متحكم منطقي قابل للبرمجة (PLC) في أرضية المصنع، فهذا يعني أن البنية المعمارية قد فشلت. كذلك، إذا لم تتمكن فرق الأمن من رصد هذا التحرك أو عزل جهاز أو منطقة مصابة، فهذا يعني أن الوضع الأمني قد فشل.

• المناطق (Zones): قم بتجميع الأصول بناءً على درجة حساسيتها ومتطلباتها الأمنية و/أو الوظيفية، وعيّن مالكاً أمنياً لكل منطقة. ولتوضيح كيفية تحديد المناطق، يجب ألا يقع نظام السلامة المزوّد بالأجهزة (SIS) أبداً في نفس المنطقة مع محطة التحكم الأساسية بالعملية.

• القنوات (Conduits): وهي مسارات الاتصال بين المناطق. من خلال التحكم الصارم في القنوات باستخدام الفحص العميق للحزم (DPI) والجدران النارية ذات الحالة (Stateful Firewalls)، يمكنك منع الحركة الأفقية.

خطوة عملية: أجرِ تقييماً عالي المستوى للمخاطر لتحديد مستويات الأمان لديك (SL-Target) لكل منطقة. بالنسبة للبنية التحتية الحيوية، استهدف SL-3 أو SL-4، وهو ما يفترض خصماً عالي الدافعية ويمتلك مهارات متخصصة في IACS.

الضوابط الدفاعية: تجاوز حدود المحيط (IEC 62443-3-3)

بمجرد تحديد مناطقك، يجب عليك تطبيق متطلبات على مستوى النظام. وفي مناخ التهديدات الحالي، تُعد عقلية "افتراض الاختراق" النهج المنطقي الوحيد.

• المتطلب الأساسي 1: التحكم في التعريف والمصادقة (IAC). طبّق المصادقة متعددة العوامل (MFA) لجميع عمليات الوصول عن بُعد. مشاركة كلمات المرور لحسابات HMI تُعد باباً مفتوحاً أمام البرمجيات الخبيثة الحديثة.

• المتطلب الأساسي 2: التحكم في الاستخدام (UC). طبّق مبدأ أقل امتياز. يجب ألا يمتلك المستخدمون والعمليات إلا الصلاحيات اللازمة لتنفيذ مهامهم المحددة.

• المتطلب الأساسي 5: تقييد تدفق البيانات. هنا تصبح منظومة كشف الشبكة والاستجابة (NDR) بالغة الأهمية. يجب أن تمتلك رؤية لحركة المرور شرق-غرب داخل بيئة OT لرصد الشذوذات التي تشير إلى مرحلة الاستطلاع.

إدارة المخاطر المتبقية: الحقيقة الصعبة

حتى مع التطبيق الأكثر صرامة لضوابط IEC 62443، ستظل المخاطر المتبقية—وهي المخاطر التي تبقى بعد تنفيذ جميع التدابير الأمنية—موجودة. وفي OT، غالباً ما تقود ذلك العوامل التالية:

1. الأصول القديمة: أجهزة لا تدعم التشفير أو المصادقة الحديثة.

2. سلسلة التوريد: ثغرات مضمّنة في البرمجيات الثابتة التابعة لجهات خارجية ("SolarWinds" في عالم OT).

3. الخطأ البشري: ما يزال التصيّد الاحتيالي هو الناقل الرئيسي للوصول الأولي.

الاستراتيجية: تُعد الضوابط التعويضية أفضل حليف لك. إذا كان PLC قديم لا يمكن ترقيعه، فاعزله خلف جهاز أمني صناعي مخصص أو استخدم بوابات أحادية الاتجاه (Data Diodes) لضمان تدفق البيانات إلى الخارج فقط لأغراض المراقبة، وليس إلى الداخل أبداً.

قائمة تنفيذ لقادة الأمن

• احصر كل شيء: لا يمكنك حتى التفكير في حماية ما لا يمكنك رؤيته. استخدم أدوات الاكتشاف السلبي لبناء جرد أصول آلي.

• الترقيع مقابل الحماية: أقرّ بأن تحقيق ترقيع بنسبة 100% مستحيل في OT. ركّز على "الترقيع الافتراضي" عبر IPS/IDS للثغرات التي لا يمكن معالجتها أثناء دورات الإنتاج.

• الاستجابة للحوادث (IR): طوّر كتيبات إجراءات خاصة بـ OT. كتيّب IT الذي ينص على "المسح والاستعادة" قد يؤدي إلى نتائج مادية كارثية في مصنع كيميائي.

متتبع مؤشرات الأداء الرئيسية IEC 62443

لإدارة ما تقيسه، استخدم هذا المتتبع للتواصل بشأن التقدم مع مجلس الإدارة والفرق التقنية.

خلاصة القول،

إن تدهور بيئة التهديدات هو دعوة إلى التحرك وليس سبباً لليأس. ومن خلال اعتماد نهج دورة الحياة الخاص بـ IEC 62443—من التصميم إلى التشغيل—يمكننا بناء بنية تحتية ليست آمنة فحسب، بل مرنة بما يكفي لتحمّل أحداث "البجعة السوداء" في المستقبل.

ابقَ يقظاً، وابقَ ملتزماً بالتقسيم.

حدّد موعداً لتقييم آلي قائم على IEC 62443

موارد IEC 62443 إضافية من Shieldworkz لفرق أمن OT

الوصول إلى أدلة المعالجة IEC 62443 من Shieldworkz
قائمة التحقق من تقييم مخاطر OT/ICS المستندة إلى IEC 62443 لمشغّلي الطاقة المتجددة
قائمة التحقق من تقييم المخاطر المستندة إلى IEC 62443 لعمليات المطارات والبنية التحتية الحيوية
بطاقة قياس أداء الامتثال IEC 62443 وحاسبة مؤشرات الأداء الرئيسية للأمن السيبراني في OT
قائمة التحقق من تنفيذ التقسيم والتحقق منه المستندة إلى IEC 62443  
قائمة التحقق من الامتثال لـ IEC 62443 وNIS2